Datenschutzgesetz in Oregon

Am 18. Juli 2023 hat die Gouverneurin von Oregon (Tina Kotek) den Oregon Consumer Privacy Act (OCPA) unterzeichnet. Das Gesetz wird am 1. Juli 2024 in Kraft treten. 

Vom Anwendungsbereich des OCPA sind grundsätzlich Unternehmen beziehungsweise sogenannte „controller“ (Verarbeiter) erfasst, die in Oregon geschäftlich tätig sind (conduct business in Oregon) oder Produkte für die Einwohner von Oregon herstellen oder ihnen Dienstleistungen anbieten (produce products or services targeted to Oregon residents) und im Kalenderjahr entweder:

•  die personenbezogenen Daten von 100.000 Verbrauchern kontrolliert oder verarbeitet haben, mit Ausnahme personenbezogener Daten, die ausschließlich zum Zwecke der Abwicklung einer Zahlungstransaktion kontrolliert oder verarbeitet worden sind; oder

• die personenbezogenen Daten von 25.000 Verbrauchern kontrolliert oder verarbeitet haben und mehr als 25 Prozent ihres Bruttoumsatzes aus dem Verkauf personenbezogener Daten erzielt haben.

Etwaige Umsatzschwellen, um in den Anwendungsbereich des Gesetzes zu fallen, sieht der OCPA nicht vor. 

Als Verbraucher (consumer) im Sinne des Gesetzes gelten natürliche Personen mit Wohnsitz in Oregon, die im eigenen Namen handeln und nicht in einem kommerziellen oder beruflichen Kontext. 

Personenbezogene Daten (personal data) im Sinne des OCPA sind alle Informationen, die einer identifizierbaren Person zugeordnet werden können, ausgenommen sind öffentlich zugängliche Informationen.

Der OCPA räumt den Verbrauchern unter anderem ein Recht auf Löschung und Korrektur ihrer personenbezogenen Daten ein. Ein Unternehmen (beziehungsweise ein controller) hat innerhalb von 45 Tagen auf eine etwaige Anfrage eines Verbrauchers zu reagieren. Diese Frist kann um weitere 45 Tage verlängert werden, wenn dies angesichts der Komplexität und Anzahl der Verbraucheranfragen erforderlich ist.

Wie die meisten Datenschutzgesetze der US-Bundesstaaten sieht auch der OCPA kein privates Klagerecht vor. Die Befugnis zur Durchsetzung der Vorschriften des OCPA obliegt dem Generalstaatsanwalt von Oregon (Oregon Attorney General). Der Generalstaatsanwalt ist verpflichtet, Unternehmen über einen etwaigen Verstoß zu informieren und ihnen 30 Tage Zeit zu geben, den Verstoß zu beheben. Diese Heilungsbestimmung endet allerdings am 1. Januar 2026. Der Generalstaatsanwalt kann vor Gericht Klage einreichen und verschiedene Formen der Entschädigung beantragen. Ein Gericht kann für jeden Verstoß gegen den OCPA eine zivilrechtliche Strafe von bis zu 7.500 US-Dollar verhängen.

Dieser Inhalt gehört zu